S Phishing-Mail schrybt jetz fehlerfrei Dütsch

Der Ratschlag hat zwanzig Jahre lang funktioniert: Ein Phishing-Mail erkennen Sie am schlechten Deutsch. Falsche Umlaute, ein Betreff wie «Ihr Konto wurde gesperrt!!», eine Anrede ohne Namen. Dieser Ratschlag ist tot. Ein Sprachmodell schreibt heute in fehlerfreiem Schweizer Hochdeutsch, kennt die Namen der Geschäftsleitung von der Website und schreibt den Text so, wie Ihre Buchhaltung ihn erwartet.

Das Bundesamt für Cybersicherheit hält in seinem Halbjahresbericht 2026/1 vom 24. August 2026 fest, dass Angreifer künstliche Intelligenz mittlerweile systematisch einsetzen, um zugeschnittene, personalisierte Inhalte glaubwürdig an die Opfer zu bringen. Eine Zahl, wie viele Angriffe das betrifft, nennt der Bericht nicht. Wer Ihnen eine solche Quote präsentiert, hat sie nicht vom Bund.

Was die Verwaltungsräte sagen

Am 16. September 2026 ist der swissVR Monitor II/2026 erschienen, herausgegeben von swissVR zusammen mit Deloitte und dem Institut für Finanzdienstleistungen Zug der Hochschule Luzern. Befragt wurden zwischen dem 26. Mai und dem 5. Juli 2026 insgesamt 281 Schweizer Verwaltungsrätinnen und Verwaltungsräte. Deloitte ist Mitherausgeberin und verkauft Cyber-Beratung, das gehört zur Einordnung dazu.

Die meistzitierte Zahl daraus lautet: 74 Prozent verfügen nicht über eine schriftliche Strategie, die KI-basierte Cyber-Angriffe berücksichtigt. Das stimmt, ist aber differenzierter, als die Schlagzeile klingt. Die Frage lautete, wie sich das Unternehmen auf KI-basierte Angriffe vorbereitet, und die Antworten verteilen sich so:

Antwort	Anteil
Schriftliche Strategie, vom VR genehmigt, plus regelmässiges Reporting	18 %
Schriftliche Strategie, vom VR genehmigt	8 %
Arbeitet aktuell an einer Strategie	28 %
Gefahr im Gremium diskutiert	34 %
Nicht vorbereitet	12 %

Es ist also nicht so, dass drei Viertel nichts tun. Ein gutes Viertel ist dran. Aber geschrieben, beschlossen und damit im Ernstfall belegbar ist es bei einem Viertel.

Die für kleinere Betriebe wichtigere Zahl steht daneben: Bei den Kleinunternehmen haben 18 Prozent eine solche Strategie, bei den Grossunternehmen 40 Prozent. Und die Betroffenheit hat sich verschoben. Der Anteil der kleinen und mittleren Unternehmen, deren Verwaltungsratsmitglied angibt, die Firma sei mindestens einmal Opfer eines Cyber-Angriffs geworden, ist zwischen der Ausgabe II/2023 und II/2026 von 20 auf 37 Prozent gestiegen. Bei den Grossunternehmen blieb er mit 48 Prozent fast unverändert. Das ist Selbstauskunft und keine Vorfallzählung, und die Stichproben der beiden Ausgaben sind nicht identisch. Die Richtung ist trotzdem eindeutig: Die Lücke schliesst sich von unten.

Was das BACS im ersten Halbjahr gesehen hat

Beim Bund gingen im ersten Halbjahr 2026 insgesamt 27’128 freiwillige Meldungen ein, dazu kommen 200 meldepflichtige Cybervorfälle. Die freiwilligen Meldungen sind gegenüber dem ersten Halbjahr 2025 zurückgegangen, damals waren es 35’727. Die häufigsten Phänomene: Betrug mit 10’759 Meldungen, Phishing mit 8’877, Spam mit 3’965.

Zwei Befunde daraus sind für einen Betrieb praktisch relevant. Erstens ist Voice Phishing neu die meistgemeldete Phishing-Methode und hat das klassische Kreditkarten-Phishing abgelöst. Es ruft also jemand an. Zweitens ist das Ransomware-Feld zersplittert: Die Zahl der in der Schweiz aktiven Familien stieg von 21 auf 29, während der Anteil der dominanten Gruppe von 35 auf 19 Prozent fiel. Für ein KMU heisst das nicht Entwarnung, sondern mehr kleinere Akteure, die breiter und wahlloser zuschlagen.

Vier Dinge, die an einem Nachmittag gehen

Keines davon braucht ein Budget, und keines davon braucht die IT-Abteilung, die Sie vielleicht gar nicht haben.

1. Die Rückrufregel. Jede Anweisung, Geld zu überweisen oder eine Kontonummer zu ändern, wird über einen bereits bekannten Kanal zurückbestätigt. Nicht über die Nummer im Mail, sondern über die Nummer, die im Adressbuch steht. Das ist die einzige Massnahme, die gegen eine perfekt geschriebene Chef-Mail und gegen eine geklonte Stimme gleichzeitig wirkt.
2. Ein Codewort für Stimme und Video. Wer telefonisch oder per Videocall eine Zahlung auslöst, nennt ein internes Wort, das nirgends geschrieben steht. Das BACS beschreibt für Romance Scam bereits Videotelefonie, die mit Deepfakes unterstützt wird. Die Technik ist da, und sie ist billig.
3. Die halbe Seite. Notieren Sie, wer im Ernstfall wen anruft, wo die Sicherungskopien liegen, wann sie zuletzt zurückgespielt wurden und an welchem Punkt Sie das BACS informieren. Datieren und unterschreiben. Genau dieses Blatt fehlt bei 74 Prozent, und genau danach fragt Ihre Versicherung.
4. Die Meldung. Vorfälle können beim BACS gemeldet werden, für einen Teil der Betriebe ist es Pflicht. Die Meldung kostet nichts und hilft, dass Warnungen früher bei allen ankommen.

Wenn Sie ohnehin gerade Regeln für den KI-Einsatz im Betrieb aufschreiben, hängen Sie diese halbe Seite dort an. Wie ein solches Regelwerk aussieht, steht in unserem Beitrag zu den KI-Nutzungsregeln für Schweizer KMU. Und wer wissen will, welche Daten überhaupt in ein Sprachmodell gehören dürfen, findet die Prüffragen im Beitrag zu Kundendaten und ChatGPT.

Die unbequeme Zahl zum Schluss

68 Prozent der befragten Verwaltungsräte haben kein Mitglied mit Cyber- oder IT-Expertise im Gremium. Nur etwa die Hälfte probt das Krisenmanagement für den Fall eines Angriffs, und die Hälfte der Gremien wird nicht regelmässig über Vorfälle informiert. Bei den Unternehmen, die tatsächlich angegriffen wurden, war die häufigste Folge ein Betriebsunterbruch mit 42 Prozent, gefolgt von Datenlecks mit 22 Prozent.

Ein Betriebsunterbruch von drei Tagen kostet die meisten KMU mehr als jede Massnahme auf dieser Liste. Der Nachmittag ist gut investiert.

Quellen

• swissVR, Deloitte und HSLU IFZ, «Wie der Verwaltungsrat die Cyber-Resilienz stärkt», swissVR Monitor II/2026, 16. September 2026: deloitte.com (PDF)
• swissVR, Übersicht der Monitor-Publikationen: swissvr.ch
• Bundesamt für Cybersicherheit BACS, Halbjahresbericht 2026/1, 24. August 2026: bacs.admin.ch